[发明专利]恶意网页的识别方法以及识别装置

权利要求书

1.一种恶意网页的识别方法，其特征在于，包括：

将待访问网页统一资源定位符URL与恶意关键词表中的关键字进行匹配，记录匹配结果，所述恶意关键词表中顺序存储有每个关键词包含的至少两个关键字、各关键字在所属关键词中的顺序号；所述匹配结果中包含匹配到的关键字、以及关键字的顺序号；

从匹配结果中选择基准关键字，所述基准关键字的顺序号标识该关键字为所属关键词中的第一个关键字；

若基准关键字的数目为至少一个，则对于每个选择出的基准关键字，执行以下步骤：

获得匹配结果中以所述基准关键字为起点的一组关键字，该组关键字中每个关键字的顺序号与前一个关键字的顺序号连续、且存储位置相邻；

判断该组关键字的数目，与该基准关键字所属关键词所包含的关键字的数目是否一致；若数目一致，则确认所述待访问网页URL中包含该基准关键字所属关键词，为恶意网页。

2.如权利要求1所述的方法，其特征在于，所述将待访问网页URL与恶意关键词表中的关键字进行匹配，记录匹配结果，包括：

根据恶意关键词表中的关键字构建Aho-Corasick AC状态机的所有可能状态，其中初始状态为恶意关键词表中的第一个关键字，其他可能状态包括：第一个关键字与恶意关键词表中在第一个关键词之后至少一个顺序排列的其他关键字的组合结果；

获得待访问URL中第一个与AC状态机的初始状态相同的词语；

在AC状态机中，依次输入待访问URL中在与AC状态机的初始状态相同的词语之后的各个词语，当AC状态机发生最后一次转向时，则记录当前状态对应的关键字组合中的各个关键字、及各关键字的存储序号；

按照存储序号，对当前状态对应的关键字组合中的各个关键字进行排序，通过查找恶意关键词表中各关键字的存储序号与顺序号的对应关系，获得排序后的各关键字、及各关键字的顺序号作为匹配结果。

3.如权利要求1或2所述的方法，其特征在于，所述确认所述待访问网页URL中包含该基准关键字所属关键词后，还包括：

记录所述该基准关键字所属关键词，从而获得所述待访问网页URL包含的所有关键词；

从所述待访问网页URL包含的所有关键词中，选择所包含关键字数目最多的关键词作为与所述待访问网页URL最匹配的关键词。

4.如权利要求3所述的方法，其特征在于，所述选择所包含关键字数目最多的关键词作为与所述待访问网页URL最匹配的关键词，包括：

若所包含关键字数目最多的关键词的数目为一个，则将该关键词作为与所述待访问网页URL最匹配的关键词；

若所包含关键字数目最多的关键词的数目为至少一个，则按照距离所述待访问网页URL的起始位置由近至远的顺序，选择一个关键词作为与所述待访问网页URL最匹配的关键词。

5.如权利要求1所述的方法，其特征在于，若基准关键字的数目为0，则确认所述待访问网页URL中未包含恶意关键词表中的关键词，为正常网页URL。

6.一种恶意网页的识别装置，其特征在于，包括：

匹配单元，用于将待访问网页URL与恶意关键词表中的关键字进行匹配，记录匹配结果，所述恶意关键词表中顺序存储有每个关键词包含的至少两个关键字、各关键字在所属关键词中的顺序号；所述匹配结果中包含匹配到的关键字、以及关键字的顺序号；

选择单元，用于从匹配结果中选择基准关键字，所述基准关键字的顺序号标识该关键字为所属关键词中的第一个关键字；

获取单元，用于若选择单元选择出的基准关键字的数目为至少一个，则对于每个选择出的基准关键字，获得匹配结果中以所述基准关键字为起点的一组关键字，该组关键字中每个关键字的顺序号与前一个关键字的顺序号连续；

判断单元，用于判断该组关键字的数目，与该基准关键字所属关键词所包含的关键字的数目是否一致；

第一确认单元，用于若判断单元判断结果为是，则确认所述待访问网页URL中包含该基准关键字所属关键词，为恶意网页URL。